Politique de confidentialité

1 L'essentiel

Luphare est conçue pour que les informations de votre famille restent sur votre appareil.

Sur quels appareils. L'Application fonctionne aujourd'hui sur iPhone et iPad ; une version Android est prévue. Dans le présent document, « l'appareil » désigne l'iPhone, l'iPad ou l'appareil Android où l'Application est installée, et « le magasin d'applications » l'App Store d'Apple ou, pour la version Android, Google Play. Ce qui est propre à un système est précisé.

• Aucun compte, rien chez l'éditeur. Ni vous ni votre enfant n'avez de compte à ouvrir. VISION PM (l'« Éditeur ») ne reçoit, ne stocke et ne consulte aucune donnée personnelle issue de l'Application : les textes envoyés au service d'intelligence artificielle passent par un serveur de l'Éditeur qui les transmet sans les enregistrer (§ 4), et seule la mesure d'audience anonyme, que vous pouvez désactiver, lui parvient (§ 5). Les documents juridiques se lisent sur des pages de ce même serveur, que l'Espace parent ouvre quand vous le demandez (§ 5 bis). La liste des galaxies et les galaxies que vous obtenez viennent aussi de ce serveur et d'un stockage du même hébergeur, sans que l'Application n'y envoie rien sur votre famille (§ 5 ter).
• Pas de compte pour l'enfant, pas de publicité, pas de traceur publicitaire, pas de SDK de publicité. Seule une mesure d'audience anonyme, pour le seul compte de l'Éditeur et désactivable à tout moment, compte quelles fonctions servent ; elle ne contient ni question, ni réponse, ni information permettant d'identifier votre enfant ou vous-même, ni rien sur votre appareil.
• La voix de votre enfant ne quitte jamais l'appareil : elle est transformée en texte sur l'appareil, puis le son est effacé.
• Votre voix (quand vous lisez un défi) reste sur l'appareil : l'Application ne l'envoie nulle part et l'exclut des sauvegardes.
• Les textes ne sortent de l'appareil qu'avec votre accord explicite : pour rédiger une réponse ou un quiz, le texte de la question et les échanges précédents de la séance, l'âge et le genre de votre enfant, et des consignes sont envoyés au service d'intelligence artificielle de Mistral AI, entreprise française, qui les traite en Europe (§ 4) — et, pour vérifier qu'ils conviennent à un enfant, le texte de cette question puis celui de la réponse sont vérifiés par le service de modération de Mistral AI (§ 4 bis). Ces textes ne servent pas à entraîner ses modèles, Mistral AI ne les conserve pas, et ils ne quittent pas l'Europe. Par ailleurs, sauf si vous les désactivez, des statistiques d'utilisation anonymes, sans aucun texte, sans lien avec vous et sans rien sur votre appareil, mesurent l'audience de l'Application pour l'Éditeur (§ 5). Le prénom de votre enfant n'est jamais envoyé.
• Le prochain match de foot, si vous l'activez (à partir de 7 ans) : seul le nom de l'équipe est envoyé à un service de recherche sur internet, jamais la question de votre enfant ni rien qui le concerne (§ 4 ter).

2 Qui est responsable

Éditeur : VISION PM, EURL. Ses coordonnées, dont le contact pour les données personnelles, sont en fin de document (§ 11).

Les données décrites au § 3 sont conservées sur votre appareil, sous votre contrôle (les crédits de la famille et son premier jour d'utilisation le sont aussi dans le stockage en ligne de votre compte — iCloud sur iPhone et iPad —, s'il est activé). Pour la rédaction des réponses (§ 4) et la vérification de sécurité des questions et des réponses (§ 4 bis), l'Éditeur est responsable du traitement : les textes passent par son serveur, hébergé en France par Scaleway (§ 4), qui les transmet à Mistral AI, son sous-traitant, avec sa propre clé d'accès — vous n'avez pas de compte à ouvrir chez lui, et ce serveur ne conserve aucun texte de votre enfant. Pour la mesure d'audience (§ 5), l'Éditeur est responsable du traitement et fait appel à TelemetryDeck GmbH.

3 Ce qui est conservé sur votre appareil

La voix de l'enfant. Pendant que l'enfant appuie sur le personnage, le son est enregistré dans un fichier temporaire, transcrit en texte par la reconnaissance vocale du système sur l'appareil, puis le fichier est supprimé. Aucun son n'est conservé ni transmis.

Reconnaissance biométrique. Si vous l'activez, c'est le système de l'appareil qui reconnaît votre visage ou votre empreinte (Face ID ou Touch ID sur iPhone et iPad) ; l'Application ne reçoit qu'un « oui » ou un « non », jamais votre visage ni aucune donnée biométrique, et n'envoie rien.

Votre voix. Les enregistrements des défis sont des fichiers conservés dans le dossier privé de l'Application, exclus des sauvegardes en ligne (iCloud sur iPhone et iPad) et des sauvegardes sur ordinateur, et protégés par le chiffrement de l'appareil. L'Application ne les envoie jamais, ni à Mistral AI, ni à l'Éditeur, ni à quiconque.

Aucune coordonnée. L'Application ne vous demande ni adresse e-mail, ni numéro de téléphone, ni adresse postale. Une adresse e-mail donnée dans une version précédente de l'Application est effacée de l'appareil à la première ouverture de la nouvelle version.

Sauvegardes et stockage en ligne. Si la sauvegarde en ligne (iCloud sur iPhone et iPad) ou la sauvegarde sur ordinateur de votre appareil est activée, le système peut y inclure les données de l'Application (sauf vos enregistrements vocaux, et sauf le code parent, lié à cet appareil). Ces sauvegardes, comme tout stockage dans iCloud ou dans un autre service que vous choisiriez pour vos contenus (y compris votre voix), relèvent de votre compte (Apple sur iPhone et iPad) ou de ce service et de votre responsabilité : VISION PM n'en est pas responsable et n'y a pas accès. Les crédits de la famille et son premier jour d'utilisation (tableau ci-dessus) sont en outre placés par le système dans le stockage en ligne de votre compte (iCloud sur iPhone et iPad) quand il est activé sur l'appareil, pour être les mêmes sur vos appareils : ils relèvent eux aussi de votre compte, et l'Éditeur n'y a pas accès.

4 Ce qui est envoyé au service d'intelligence artificielle (Mistral AI)

Quand une question n'a pas de réponse déjà connue sur l'appareil, l'Application envoie au service d'intelligence artificielle de Mistral AI, qui rédige la réponse, par une connexion chiffrée et par le serveur de l'Éditeur (ci-dessous), les éléments suivants. Si le modèle principal de Mistral AI ne répond pas (panne, délai dépassé, réponse inutilisable), les mêmes éléments sont envoyés à un autre modèle de Mistral AI, par le même chemin et dans les mêmes conditions, qui rédige alors la réponse à sa place. Aucun autre fournisseur ne reçoit ces éléments.

• le texte de la question (jamais le son) — y compris celui de la question que le personnage propose après une réponse, quand l'enfant répond « oui » ;
• pendant une même séance de questions (de l'ouverture de « Poser une question » à la sortie), les questions et réponses précédentes de cette séance et les questions déjà proposées, pour que la réponse suive la conversation et qu'une proposition ne revienne pas. L'Application n'ouvre aucune conversation conservée chez ces services : chaque envoi contient ce qu'il faut, et la séance est oubliée sur l'appareil dès que l'enfant quitte « Poser une question » ;
• l'âge de l'enfant, en années (jamais son année de naissance), et son genre (garçon ou fille), pour adapter la réponse ;
• les noms des sujets bloqués activés, y compris ceux que vous créez, pour qu'une question sur ces sujets soit renvoyée vers vous (jamais la liste de leurs mots) ;
• des consignes de rédaction adaptées à un enfant ;
• pour fabriquer un quiz : quelques paires question / réponse déjà entendues par l'enfant, avec son âge en années et son genre ;
• à partir de 7 ans, dans les consignes, la liste des recherches que le serveur de l'Éditeur sait faire (aujourd'hui, le prochain match d'une équipe de foot), pour que Mistral AI puisse en choisir une — que la recherche soit activée ou non : désactivée, rien n'est cherché (§ 4 ter) ;
• un jeton d'accès au serveur de l'Éditeur, obtenu une fois pour cette installation grâce à l'attestation du système de l'appareil (App Attest d'Apple sur iPhone et iPad), qui prouve que la demande vient d'une vraie copie de Luphare sur un vrai appareil : le serveur en tire un identifiant d'installation pseudonyme, sans lien avec vous, le numéro de série ou l'identifiant publicitaire de l'appareil, qui sert seulement à limiter le nombre d'appels par installation : le serveur ne le garde qu'en mémoire, sans base de données, l'oublie à chaque redémarrage et ne l'écrit dans aucun journal, pas même sous une forme abrégée. Rien n'identifie votre foyer ; une réinstallation en crée un nouveau. La clé d'accès à Mistral AI n'est jamais dans l'Application : le serveur de l'Éditeur l'ajoute.

Une question refusée par le filtre de mots ou par la vérification de sécurité (§ 4 bis) n'est pas envoyée. Une question qui contient une adresse e-mail, un numéro de téléphone, un lien, une adresse postale ou un prénom donné comme celui de l'enfant (« je m'appelle… ») est refusée par le serveur de l'Éditeur et n'est envoyée à aucun service. Aucun autre élément n'est transmis à Mistral AI : ni la voix, ni le prénom de l'enfant, ni vos défis, vos enregistrements, le numéro de série ou l'identifiant publicitaire de l'appareil, ni la localisation. Le fuseau horaire du téléphone, et le fait que la recherche du prochain match est activée ou que Lanti vient de demander de préciser une équipe, ne vont qu'au serveur de l'Éditeur (§ 4 ter).

Le serveur de l'Éditeur. Chaque envoi passe par un serveur de l'Éditeur (api.luphare.visionpm.fr), hébergé en France par Scaleway SAS, 8 rue de la Ville-l'Évêque, 75008 Paris (région Paris). Il vérifie que la demande vient d'une vraie copie de Luphare et a la forme attendue, y ajoute la clé d'accès de l'Éditeur, compose la demande à Mistral AI (le modèle et la forme de la réponse), fait vérifier la question puis la réponse (§ 4 bis) et renvoie le résultat. Il ne conserve aucun texte de votre enfant : il n'a pas de base de données ; il garde seulement en mémoire, jusqu'à la fin du match au plus, le prochain match trouvé pour une équipe (§ 4 ter) ; et son journal technique ne note, pour chaque demande, que la route appelée, le résultat, l'heure et la durée — jamais la question, la réponse, l'âge ou le genre. Le nombre d'appels de chaque installation est compté en mémoire, le temps de la journée, sous l'identifiant pseudonyme ci-dessus.

Votre accord. Avant toute première question, un écran de la configuration vous explique ce qui est envoyé, ce qui ne l'est jamais, à qui et pourquoi, et vous demande « J'accepte » ou « Je refuse ». Rien n'est envoyé avant « J'accepte ». Vous pouvez changer d'avis à tout moment dans Espace parent › Réglages › Intelligence artificielle : dès la question suivante, plus rien n'est envoyé, et l'Application ne répond qu'avec les réponses déjà présentes sur l'appareil. Si ce qui est envoyé change, votre accord vous est redemandé.

Mistral AI traite ces données comme sous-traitant de l'Éditeur, uniquement pour rédiger la réponse ou le quiz (et pour la vérification du § 4 bis). Mistral AI, société de droit français immatriculée au RCS de Paris sous le numéro 952 418 325, 15 rue des Halles, 75001 Paris, reçoit ces textes du serveur de l'Éditeur, avec la clé d'accès de l'Éditeur : vous n'avez pas de compte à créer, et rien n'identifie votre foyer. Aucune conservation chez Mistral AI. Mistral AI applique au compte de l'Éditeur la conservation nulle (« Zero Data Retention ») : pour les services qu'utilise l'Application (rédaction des réponses et vérification de sécurité), il ne conserve ni n'enregistre les textes reçus et ses réponses au-delà du temps strictement nécessaire pour produire sa réponse. Ces textes ne sont donc ni conservés ni utilisés pour entraîner les modèles de Mistral AI. Traitement en Europe. Le serveur de l'Éditeur n'appelle Mistral AI que par son point d'accès européen (api.eu.mistral.ai) : selon Mistral AI, les textes reçus et ses réponses y sont traités dans des centres de données situés dans l'Union européenne et dans les pays de l'AELE (Islande, Liechtenstein, Norvège, Suisse). Les données du compte de l'Éditeur chez Mistral AI (clé d'accès, facturation, volumes d'utilisation) peuvent être traitées ailleurs ; elles ne contiennent aucun texte de votre enfant.

Les garanties de Mistral AI. Le traitement est encadré par l'accord de traitement des données de Mistral AI, conforme au RGPD et intégré à ses conditions (legal.mistral.ai/terms/data-processing-addendum) ; la liste de ses propres sous-traitants est publiée sur trust.mistral.ai/subprocessors. Selon Mistral AI, ses données sont hébergées par défaut dans l'Union européenne, avec des sauvegardes chiffrées réparties entre plusieurs zones de l'Union, et ses services sont conformes aux référentiels de sécurité SOC 2 Type II, ISO 27001 et ISO 27701 ; ses rapports et certificats sont consultables sur son centre de confiance (trust.mistral.ai). Ses conditions et sa politique de confidentialité : legal.mistral.ai/terms.

4 bis La vérification de sécurité par Mistral AI

Pour s'assurer que ce que l'enfant demande et ce qu'il entend lui conviennent, l'Application fait vérifier ces textes par le service de modération de Mistral AI, par une connexion chiffrée :

• le texte d'une question (jamais le son) qui va être envoyée au service d'intelligence artificielle (§ 4), juste avant cet envoi, avec les questions précédentes de la même séance, pour en juger le sens dans son contexte : la question est vérifiée seule et dans ce contexte — une question à laquelle l'appareil sait déjà répondre, ou une question de départ de l'Application, n'est pas envoyée ;
• le texte de la réponse rédigée par le service d'intelligence artificielle, avec la question que le personnage proposera ensuite, avant que Lanti ne la dise ;
• chaque question d'un quiz rédigé par le service d'intelligence artificielle, avec ses choix de réponse et son explication, vérifiée seule, avant que le quiz ne soit proposé à l'enfant.

Rien d'autre n'est transmis : ni l'âge, ni le genre, ni le prénom de l'enfant, ni les sujets bloqués, ni les réponses précédentes de la séance, ni l'identifiant de l'appareil ou la localisation.

Ce qu'il en résulte. Une question refusée n'est pas envoyée au service d'intelligence artificielle ; une réponse refusée est retenue et n'est jamais dite à l'enfant, qui est invité à en parler avec ses parents. La question, la catégorie en cause et, le cas échéant, la réponse retenue sont conservées sur l'appareil, dans l'onglet Incidents de l'Espace parent ; rien n'est décompté des questions du jour. Une question de quiz refusée n'est jamais proposée : une question de réserve prend sa place. Quand il n'en reste pas assez pour faire un quiz, aucun quiz n'est proposé ; les questions refusées sont alors conservées sur l'appareil, avec la catégorie en cause, dans l'onglet Incidents de l'Espace parent, et l'Application en fabrique un autre quand l'enfant aura posé de nouvelles questions. Un quiz qui n'a pas pu être vérifié (sans connexion, par exemple) n'est jamais proposé ; rien n'est conservé et l'Application réessaie plus tard.

Qui. Mistral AI, le même sous-traitant qu'au § 4, dans les mêmes conditions et par le même serveur de l'Éditeur : clé d'accès de l'Éditeur, point d'accès européen, aucune conservation des textes (« Zero Data Retention »), aucun entraînement de ses modèles.

Votre accord. Cette vérification fait partie de l'envoi au service d'intelligence artificielle que vous acceptez ou refusez (§ 4) : si vous refusez, rien n'est envoyé à Mistral AI.

4 ter Le prochain match de foot (si vous l'activez)

À partir de 7 ans, et seulement si vous l'activez dans Espace parent › Réglages (« Lanti peut chercher sur internet », désactivé par défaut), une question de votre enfant sur le prochain match d'une équipe de foot peut être recherchée sur internet. La question suit d'abord le même chemin que les autres (§ 4 et § 4 bis) ; Mistral AI reconnaît la demande et donne le nom de l'équipe, que le serveur de l'Éditeur fait vérifier par la modération de Mistral AI. Le serveur demande d'abord le prochain match de cette équipe à deux calendriers de football, fixtur.es (De Agendamakers B.V., Pays-Bas) et football-data.org (Freitag Web Tec UG), qui ne reçoivent que l'identifiant de l'équipe. Il envoie ensuite le nom de l'équipe et ce que disent ces calendriers, et rien d'autre — ni la question, ni l'âge, ni le genre, ni le jeton, ni aucun identifiant — au service d'intelligence artificielle d'Anthropic (États-Unis), que l'Éditeur utilise pour lire ces calendriers et, s'ils ne connaissent pas le match, pour chercher sur une courte liste de sites de sport (ligues, fédérations, UEFA, FIFA, médias sportifs). Le serveur pose cette question deux fois, séparément, et ne garde le match que si les deux réponses donnent la même date et le même adversaire, pris dans un calendrier ou cités par au moins deux sites ; il garde le résultat en mémoire jusqu'à la fin du match au plus, pour éviter de chercher à nouveau, et Lanti le dit à votre enfant. Seulement quand « Lanti peut chercher sur internet » est activé, l'Application envoie aussi avec chaque question le fuseau horaire du téléphone (par exemple « Europe/Paris ») au serveur de l'Éditeur, pour dire le jour et l'heure du match à l'heure de votre enfant ; le serveur ne le conserve pas et ne l'envoie à personne. Réglage désactivé, il n'est jamais envoyé. Ce résultat n'est jamais utilisé dans les quiz ; les calendriers et les sites consultés (nom, titre, lien) sont listés pour vous dans Espace parent › Questions. Rien d'autre que ce nom d'équipe et ce que disent les calendriers ne part chez Anthropic, qui, selon ses conditions commerciales, n'entraîne pas ses modèles sur ces textes et les supprime dans les 30 jours au plus.

5 Statistiques d'utilisation (mesure d'audience)

Pour savoir quelles fonctions de l'Application servent vraiment, à quelle fréquence ses limites sont atteintes et si ses quiz sont à la bonne mesure pour chaque âge, l'Application envoie des statistiques d'utilisation. C'est une mesure d'audience faite pour le seul compte de l'Éditeur, qui ne sert qu'à produire des statistiques anonymes : jamais à suivre une personne, à la reconnaître, à faire de la publicité ou à croiser ces statistiques avec d'autres données. Conformément aux recommandations de la CNIL sur la mesure d'audience, elle ne demande pas votre accord préalable : elle est active par défaut, et vous pouvez la désactiver à tout moment, dès la fin de la configuration ou dans l'Espace parent ; l'Application fonctionne alors exactement de la même façon.

Ce qui est envoyé :

• le nom de l'action effectuée, choisi dans une liste fixe et rattaché au personnage concerné (par exemple « Lanti : question répondue », « Wonderli : quiz terminé », « Comète : défi joué ») ou à l'Espace parent (par exemple « page Mots bloqués ouverte », « mot ajouté »), ou un incident technique (par exemple « crédits illisibles sur l'appareil »), et, le cas échéant, des précisions tirées elles aussi de listes fixes : d'où venait une réponse (service d'intelligence artificielle, mémoire de l'appareil ou réponses de départ), pourquoi une question est restée sans réponse (par exemple filtre de mots, vérification de sécurité, limite de questions du jour, absence de connexion), comment une activité a été ouverte, la galaxie jouée ou l'accessoire porté (parmi ceux que propose l'Éditeur), le résultat d'un quiz terminé (son nombre de questions, de bonnes réponses et d'étoiles gagnées), la fin du temps de jeu du jour, avec la durée choisie (par exemple 1 h), si elle dépassait ou non la durée conseillée pour l'âge de l'enfant, et l'activité où était l'enfant ; la nature d'une question refusée, le mot ou le sujet en cause ne sont jamais envoyés, pas plus que ce que vous écrivez dans l'Espace parent (mots bloqués, sujets, défis, cartes) ;
• la tranche d'âge de l'enfant (4-6, 7-9 ou 10-12 ans) ;
• des informations techniques ajoutées automatiquement par l'outil de mesure : version et numéro de build de l'Application, mode d'installation (magasin d'applications, version de test ou développement), date et heure du jour (jour, semaine, mois, trimestre, heure), identifiant aléatoire de la session en cours (renouvelé à chaque lancement). Rien sur votre appareil : ce que l'outil lit d'ordinaire de l'appareil (modèle, version du système, architecture, taille, échelle et orientation de l'écran, fuseau horaire, langue, région, thème clair ou sombre, sens de lecture), ses réglages d'accessibilité et l'historique d'utilisation que l'outil tient d'ordinaire (date du premier lancement, nombre de jours et de sessions, durée des sessions) sont remplacés par un tiret avant l'envoi ;
• aucun identifiant propre à votre appareil : l'Application envoie le même mot pour tous les appareils, de sorte que TelemetryDeck compte tous les appareils ensemble et ne peut pas distinguer les statistiques de l'un de celles d'un autre ; seul l'identifiant de la session en cours, cité plus haut, change à chaque lancement. L'identifiant tiré au hasard que gardaient les versions précédentes de l'Application est effacé de l'appareil à la mise à jour.

Ce qui n'est jamais envoyé : le texte des questions et des réponses, le prénom, l'année de naissance ou le genre de l'enfant, votre voix ou celle de l'enfant, vos défis, l'identifiant de l'appareil ou son identifiant publicitaire, la localisation. L'adresse IP n'est pas conservée.

Qui les collecte : VISION PM, l'Éditeur, est le responsable de cette mesure d'audience, qu'il fait pour son seul compte. Les statistiques sont reçues par TelemetryDeck GmbH, Von-der-Tann-Str. 54, 86159 Augsburg (Allemagne), dont les serveurs sont dans l'Union européenne (Amsterdam, Francfort, Falkenstein et Nuremberg) et qui ne conserve jamais les adresses IP, ni dans sa base ni dans ses journaux. TelemetryDeck ne reçoit de l'Application que des données qu'elle traite comme anonymes et considère, selon ses conditions, comme ne relevant pas du RGPD ; elle n'annonce pas de durée de suppression de ces statistiques anonymes. L'Éditeur ne consulte que des tableaux de statistiques anonymes et ne peut pas les relier à une personne ; il ne les croise avec aucune autre donnée.

Votre choix : l'Application vous présente cette mesure d'audience à la fin de la configuration, avec un interrupteur activé, que vous pouvez désactiver aussitôt. Vous pouvez vous y opposer à tout moment, sans avoir à vous justifier, dans Espace parent › Réglages › Statistiques d'utilisation : dès que vous les désactivez, plus rien n'est envoyé, et les statistiques en attente sur l'appareil sont effacées. Votre choix est conservé sur l'appareil ; vous pouvez réactiver les statistiques au même endroit.

5 bis Les documents juridiques en ligne

L'Application ne contient pas de copie des documents juridiques. Dans l'Espace parent (Réglages › Informations légales, et l'écran de l'accord pour l'intelligence artificielle), un lien ouvre, quand vous le touchez et seulement alors, la page qui les rassemble — conditions d'utilisation, présente politique, conditions de vente, mentions légales et aide, chacun avec sa version et sa date (https://api.luphare.visionpm.fr/) — dans un navigateur intégré à l'Application, qui ne partage ni cookies ni historique avec Safari.

Ces pages sont servies par le serveur de l'Éditeur décrit au § 4, hébergé en France par Scaleway SAS (région Paris) : elles ne passent plus par un hébergeur situé hors de l'Union européenne. Comme toute page web, le serveur reçoit ce que tout navigateur transmet, notamment l'adresse IP et le type d'appareil, mais il ne les enregistre pas : son journal technique ne note, pour chaque page, que son adresse, le résultat, l'heure et la durée. Les pages n'ont ni cookie, ni script, ni mesure d'audience, et ne chargent rien depuis un autre site. L'Application n'y envoie rien d'autre : ni le prénom ou l'âge de l'enfant, ni ses questions, ni rien de ce que vous avez écrit. Sans connexion, la page ne s'ouvre pas ; les documents restent consultables à la même adresse depuis tout autre appareil.

5 ter La boutique des galaxies

Pour montrer les galaxies proposées et tenir à jour celles que vous avez obtenues, l'Application demande au serveur de l'Éditeur décrit au § 4 la liste des galaxies, à chaque lancement une fois la configuration terminée, et quand vous ouvrez la boutique dans l'Espace parent, où elle demande aussi leurs images. Ces demandes ne contiennent rien sur vous ni sur votre enfant : ni identifiant, ni prénom, ni âge, ni la liste de vos galaxies ou de vos crédits.

Quand vous obtenez une galaxie, ou quand l'Application met à jour une galaxie que vous avez déjà, elle demande au serveur un lien de téléchargement, valable quelques minutes, puis télécharge la galaxie depuis un service de stockage situé en France et géré par le même hébergeur, Scaleway SAS (région Paris). Cette demande porte le jeton d'accès décrit au § 4, qui prouve qu'elle vient d'une vraie copie de Luphare : ce jeton est donc obtenu et utilisé même si vous avez refusé l'envoi au service d'intelligence artificielle. Il ne dit rien de vous, et le serveur compte cette demande parmi les appels de l'installation, comme au § 4. Comme pour tout téléchargement, le serveur et le service de stockage reçoivent l'adresse IP de l'appareil ; ils ne reçoivent rien sur votre enfant ni sur votre famille. Le serveur compte seulement combien de fois chaque galaxie a été demandée, tous appareils confondus : ce nombre, gardé en mémoire et oublié à chaque redémarrage, ne permet pas de savoir qui l'a obtenue.

Vos crédits, votre premier jour d'utilisation et la liste de vos galaxies ne sont jamais envoyés à l'Éditeur : ils restent sur votre appareil et, si le stockage en ligne de votre compte est activé, dans celui-ci (§ 3). La recherche d'une galaxie se fait sur l'appareil : ce que vous tapez ou dictez n'est envoyé nulle part.

6 Le système de l'appareil et le magasin d'applications

L'Application est téléchargée depuis le magasin d'applications et utilise des fonctions du système de l'appareil (reconnaissance vocale sur l'appareil, reconnaissance biométrique si vous l'activez, stockage sécurisé, sauvegardes, stockage en ligne). Sur iPhone et iPad, c'est Apple : App Store, iOS (Face ID ou Touch ID, trousseau, sauvegardes, iCloud) ; Apple traite les données liées à votre compte Apple et, si vous l'avez accepté dans les réglages d'iOS, des rapports de diagnostic, selon sa propre politique de confidentialité. La version Android, quand elle sortira, utilisera de la même façon Google Play et les fonctions d'Android ; la présente politique sera complétée avant sa sortie.

Une offre payante est prévue plus tard (voir les conditions générales de vente). Le paiement sera alors traité par le magasin d'applications (Apple ou Google), sur votre compte : l'Éditeur n'aura accès à aucune donnée de paiement. La présente politique sera mise à jour avant toute mise en vente, pour dire ce que l'Application garde d'un achat.

7 Bases légales

• Exécution du service que vous avez choisi d'utiliser : historique, quiz, défis, réglages conservés sur l'appareil ; l'accès de cette installation au serveur de l'Éditeur (§ 4) ; la liste, le téléchargement et la mise à jour des galaxies (§ 5 ter).
• Consentement : l'envoi des questions à Mistral AI et leur vérification de sécurité par Mistral AI (retirable dans Espace parent › Réglages › Intelligence artificielle).
• Intérêt légitime de l'Éditeur à mesurer l'audience de son Application pour l'améliorer : les statistiques d'utilisation (§ 5), anonymes, exemptées de consentement selon les recommandations de la CNIL sur la mesure d'audience ; vous pouvez vous y opposer à tout moment dans Espace parent › Réglages › Statistiques d'utilisation.

Les données concernant l'enfant sont traitées à l'initiative et sous le contrôle de son parent ou représentant légal, qui configure l'Application et accepte la présente politique.

8 Vos droits

Vous disposez des droits d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité (articles 15 à 21 du RGPD), ainsi que du droit de définir des directives relatives au sort de vos données après votre décès.

Pour les données de votre appareil, vous les exercez directement :

• consulter : Espace parent (Questions, Quiz, Défis, Incidents, Réglages) ;
• corriger : prénom, année de naissance, genre, défis, sujets et mots bloqués dans l'Espace parent ;
• effacer : supprimer un défi, « Supprimer ma voix », retirer votre accord à l'envoi des questions, ou supprimer l'Application pour tout effacer ;
• textes transmis à Mistral AI : auprès de l'Éditeur (§ 11), qui transmet votre demande à son sous-traitant ; comme l'Éditeur ne reçoit pas ces textes et que rien ne les relie à vous, il peut ne pas pouvoir les retrouver ;
• statistiques d'utilisation : opposez-vous-y en les désactivant dans Espace parent › Réglages ; comme rien ne les relie à vous, l'Éditeur ne peut pas retrouver celles d'un parent en particulier.

Pour toute question, écrivez à l'Éditeur (§ 11). Vous pouvez aussi adresser une réclamation à la CNIL (www.cnil.fr, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07).

9 Sécurité

Code parent dans le stockage sécurisé du système, lié à cet appareil ; données protégées par le chiffrement de l'appareil ; Espace parent protégé par un code et une porte d'accès adulte ; échanges avec le serveur de l'Éditeur et envoi des statistiques chiffrés (HTTPS) ; serveur de l'Éditeur réservé aux vraies copies de Luphare (attestation du système de l'appareil), sans base de données, et seul détenteur de la clé d'accès à Mistral AI, jamais présente dans l'Application ; Accès guidé recommandé pour que l'enfant reste dans l'Application.

10 Modifications

Chaque version de cette politique porte un numéro et une date. Elle est mise à jour avant toute évolution de l'Application qui change les données traitées ou les destinataires, et consultable à tout moment dans Espace parent › Réglages › Informations légales et à l'adresse https://api.luphare.visionpm.fr/confidentialite/.

11 Coordonnées de l'éditeur